Pse një VPN që funksionon gjithsesi skadon në përgjigje
Fakti që një kërkesë arrin një server privat është vetëm gjysma e shkëmbimit. Përgjigja e saj duhet të gjejë klientin e tunelit përmes portës, rrugës ose përkthimit të synuar.
Kërkesa arrin, serveri e regjistron dhe klienti ende raporton skadim të kohës. Ky kombinim do të thotë që përgjigja nuk e gjeti rrugën e kthimit, dhe ky është një nga të paktët defekte që mund t'i konfirmoni nga të dy skajet njëkohësisht. Kryeni kontrollet me radhë dhe ndaloni kur njëra prej tyre dështon.
Filloni nga vendi ku arriti kërkesa
Konfirmoni se paketa arriti te shërbimi përpara se të shqyrtoni çdo gjë tjetër. Një regjistrim në log në anën e serverit, një numërues lidhjesh ose një kapje e lejuar në skajin e largët të gjitha i përgjigjen të njëjtës pyetje, dhe mungesa e tyre ju kthen te tuneli dhe jo përpara te përgjigjja. Ky është kontrolli që ndan një problem të përcjelljes nga një problem i rrugës së kthimit.
Nëse kërkesa nuk arriti kurrë, ndaloni këtu. Tuneli, rrugëtimi drejt prefiksit privat ose rregulli i aksesit janë tema, dhe rruga e përgjigjes nuk është ende e rëndësishme. Shënoni edhe adresën e burimit që pa serveri. Ajo është ose adresa e pishinës që mori klienti ose një adresë e përkthyer, dhe ky ndryshim përcakton cila nga kontrollet e mëvonshme zbatohet.
Përgjigjes i duhet një rrugë drejt pishinës
Një klient i aksesit në distancë zakonisht merr një adresë nga një pishinë, dhe rrjeti privat ka nevojë për një rrugë kthimi drejt asaj pishine. Një server rruga e paracaktuar e të cilit tregon drejt portës së vet ia dorëzon paketën asaj porte, e cila nuk e ka idenë se ku ndodhet pishina, kështu që përgjigja vdes atje. Klienti sheh skadim kohe sepse asgjë nuk u kthye, dhe kjo nuk dallohet nga një kërkesë që nuk doli kurrë.
Kontrolloni rrugën që serveri zgjedh për adresën e klientit, jo rrugën që përdor për nënrrjetin e vet. Këto dy kërkime mund të japin përgjigje të ndryshme, dhe këtu rëndësi ka e dyta. Përkthimi është projektimi alternativ dhe ndryshon atë që sheh serveri. Ai mund të thjeshtojë një rrugë kthimi, dhe gjithashtu heq adresën origjinale të klientit nga regjistrat e serverit, gjë që ndikon në çdo rregull ose raport të ndërtuar mbi atë fushë.
Krahasoni kapjen në server me kapjen në portë
Krahasoni çfarë lë serveri me çfarë arrin në portë. Një kapje në ndërfaqen dalëse të serverit dhe një kapje në portën e tunelit u përgjigjen gjysmave të ndryshme të pyetjes, dhe hendeku mes tyre lokalizon humbjen.
ip route get 10.90.0.14
tcpdump -ni any host 10.90.0.14 and port 443
ip route show table all | grep 10.90.0.0| Where the reply stops | What it proves |
|---|---|
| Request in the server log, nothing on its outbound capture | The server picked a gateway that cannot reach the pool |
| Reply leaves the server but never shows up at the gateway | Loss on the LAN path, not on the tunnel |
| Reply reaches the gateway but not the client | Return translation or tunnel policy, not the server route |
Një kërkesë e gjeneruar nga vetë porta është zëvendësues i dobët për një provë nga klienti, sepse vjen nga një adresë tjetër dhe ndeshet me rregulla të tjera. Prandaj një ping i suksesshëm nga porta dhe një kërkesë e dështuar nga klienti mund të jenë të vërteta të dyja.
Kur në rrugë ndodhen disa routera, kontrolloni secilin që ka nevojë për një rrugë drejt pishinës. Një projektim nga lokacioni në lokacion shpesh kërkon që prefiksi i largët të njihet në më shumë se një pajisje, dhe vetë porta duhet të përcjellë mes tunelit dhe rrjetit lokal; shënimet e strongSwan për përcjelljen mbulojnë anën e sysctl dhe të murit të zjarrit.
Shënoni pishinën, prefiksin dhe përgjegjësin
Në shënim hyjnë katër fakte: pishina që mori klienti, prefiksi privat që i duhej, routeri përgjegjës për përgjigjen dhe rregulli i përkthimit nëse ekziston. Me këto, një ndryshim i mëvonshëm i portës është krahasim dhe jo hetim.
Më pas provoni përsëri me një klient të zakonshëm dhe llogarinë e vërtetë të aplikacionit. Zgjerimi i privilegjeve të aplikacionit nuk mund të riparojë rrugën e kthimit të një pakete, dhe një ndryshim llogarie i bërë gjatë këtij diagnostikimi do të ngatërrojë krahasimin e ardhshëm. Nëse projektimi mbështetet te përkthimi, dokumentojeni atje ku lexohen regjistrat e serverit. Kush sheh një adresë burimi të panjohur në një gjurmë auditimi nuk duhet ta rizbulojë hartëzimin nga një biletë.